Phishing im Finanzdienstleistungssektor: Angriffstrends, Kosten und Abwehrmaßnahmen im Jahr 2026

Die Finanzdienstleistungsbranche ist eine der am stärksten regulierten, am intensivsten geprüften und in puncto Sicherheit am weitesten fortgeschrittenen Branchen weltweit. Dennoch entfällt auf sie Quartal für Quartal nach wie vor einer der größten Anteile am weltweiten Phishing-Aufkommen aller Branchen.

Obwohl Banken, Versicherungen und Fintech-Unternehmen mehr für Sicherheitsmaßnahmen ausgeben als fast alle anderen Akteure außerhalb des Regierungs- und Verteidigungssektors, sorgt Phishing in der Finanzdienstleistungsbranche immer wieder für Schlagzeilen über Verluste, behördliche Verwarnungen und kompromittierte Kundenkonten. Die Cybersicherheitsstatistiken für die Finanzdienstleistungsbranche aus den Jahren 2025 und 2026 zeichnen ein einheitliches Bild: Dieser Sektor wird nicht deshalb ins Visier genommen, weil seine Abwehrmaßnahmen schwach sind. Er wird ins Visier genommen, weil er am nächsten am Geld sitzt und Angreifer sich schneller angepasst haben als die Sicherheitsmaßnahmen der meisten Institutionen.

In diesem Beitrag wird erläutert, warum der Finanzsektor so viel Aufmerksamkeit auf sich zieht, welche konkreten Angriffsarten dort tatsächlich erfolgreich sind, welche Kosten diese Angriffe in nachgewiesenen Dollarbeträgen verursachen und welche konkreten Fälle es gibt, sowie wie ein moderner Abwehr-Stack im Hinblick auf das Jahr 2026 aussieht.

Warum die Finanzdienstleistungsbranche das beliebteste Ziel für Phishing-Angriffe ist

Im „Data Breach Investigations Report 2025“ von Verizon, in dem 3.336 Sicherheitsvorfälle und 927 bestätigte Datenschutzverletzungen im Finanz- und Versicherungssektor analysiert wurden, war finanzieller Gewinn bei 90 % der Datenschutzverletzungen das Hauptmotiv. Auch Spionageangriffe nehmen in diesem Sektor zu und stiegen im Jahresvergleich von 5 % auf 12 % – ein Zeichen dafür, dass neben finanziell motivierten Kriminellen auch staatlich verbundene Akteure Interesse an diesem Sektor zeigen. Externe Angreifer waren für 78 % der Sicherheitsverletzungen verantwortlich, und Systemeinbrüche, Social Engineering sowie einfache Angriffe auf Webanwendungen machten zusammen 74 % aller Sicherheitsverletzungen in diesem Sektor aus.

Der Bericht der Anti-Phishing Working Group für das erste Quartal 2025 verzeichnete in diesem Quartal 1.003.924 Phishing-Angriffe – das höchste Volumen seit Ende 2023 – und stellte fest, dass auf den Online-Zahlungsverkehr und den Finanzsektor (Bankwesen) zusammen 30,9 % aller Angriffe entfielen.

Die Angriffe beschränken sich zudem nicht nur auf E-Mails. Im selben DBIR-Datensatz war der Finanzsektor die am stärksten betroffene Branche bei Denial-of-Service-Angriffen der Schichten 3 und 4 und musste 35 % dieser Angriffe verkraften – noch vor dem verarbeitenden Gewerbe und den freiberuflichen Dienstleistungen. Angreifer nutzen jeden Kanal, der zu Geld oder Daten führt, und Phishing ist nun einmal der kostengünstigste und zuverlässigste davon.

So funktionieren Phishing-Angriffe auf Finanzinstitute tatsächlich

Allgemeine Ratschläge zum Thema Phishing lassen sich nicht ohne Weiteres auf die tatsächlichen Angriffe im Finanzsektor übertragen. Die folgenden Angriffsarten sind diejenigen, die in aktuellen Daten und realen Vorfällen auftauchen.

Phishing-Angriffe auf Zugangsdaten beim Online-Banking

Gefälschte Anmeldeseiten sind nach wie vor eine der häufigsten Angriffsmethoden, die sich sowohl gegen Kunden als auch gegen Mitarbeiter richten. Ein überzeugender Nachbau eines Online-Banking-Portals, der über eine gefälschte oder ähnlich klingende Domain versendet wird, benötigt nur einen kleinen Teil der Empfänger, die ihre Zugangsdaten eingeben, damit ein Angreifer Zugriff auf das Konto erhält. Da diese Seiten kostengünstig einzurichten und leicht zu aktualisieren sind, stellen sie eine ständige Hintergrundbedrohung dar, auch wenn ausgefeiltere Angriffsarten derzeit die Schlagzeilen beherrschen.

Betrug durch Manipulation von Geschäfts-E-Mails und Überweisungsbetrug

Laut der von Truist gesponserten AFP-Umfrage zu Zahlungsbetrug und -kontrolle aus dem Jahr 2025 war „Business Email Compromise“ (BEC) im Jahr 2024 der von 63 % der Unternehmen am häufigsten genannte Betrugsvektor, und Überweisungen eroberten erneut den Spitzenplatz als die Zahlungsmethode, die am häufigsten von BEC-Betrügern ins Visier genommen wurde. Auch die Vorgehensweisen ändern sich: Klassische Betrugsmaschen, bei denen sich ein Betrüger als Führungskraft ausgibt und eine dringende Überweisung anordnet („CEO-Impersonation“), gingen von 57 % auf 49 % der gemeldeten BEC-Vorfälle zurück, während die „Vendor Impersonation“, bei der Angreifer sich als legitimer Lieferant ausgeben und eine Zahlung umleiten, auf 60 % anstieg. Angreifer verlagern ihren Fokus weg von Autorität hin zum Vertrauen in bestehende Geschäftsbeziehungen.

Der Internet-Kriminalitätsbericht des FBI für das Jahr 2024 verzeichnete bei 21.442 Beschwerden Verluste durch BEC in Höhe von 2,77 Milliarden US-Dollar, was einen leichten Rückgang gegenüber den 2,9 Milliarden US-Dollar im Jahr 2023 darstellt. Damit belaufen sich die kumulierten BEC-Verluste für die Jahre 2022 bis 2024 auf fast 8,5 Milliarden US-Dollar.

Weitere Informationen zur Funktionsweise dieser Angriffsart finden Sie in unserem Leitfaden zum Thema „Business Email Compromise“ und dazu, wie sich dieser Angriff von gewöhnlichem Phishing unterscheidet.

Vishing und Callback-Phishing unter Vortäuschung der Identität von Finanzunternehmen

„Callback-Phishing“, bei dem eine betrügerische E-Mail oder SMS das Opfer dazu verleitet, eine vom Angreifer besetzte Telefonnummer anzurufen, hat sich zu einem beliebten Weg entwickelt, um Zugriff auf Finanzkonten zu erlangen.

Die Untersuchung von Hoxhunt zu Phishing-Trends ergab, dass 27,1 % der zwischen Ende 2025 und Anfang 2026 erfassten „Callback“-Phishing-Kampagnen gezielt Finanzdienstleister imitierten – mehr als jede andere Kategorie –, wobei PayPal, Venmo und große Privatkundenbanken zu den am häufigsten gefälschten Namen zählten. Bei diesen Kampagnen wird in der Regel mit einer angeblichen Abbuchung oder einem Konto-Problem gedroht und Druck auf das Opfer ausgeübt, sofort anzurufen. Anschließend wird es von einem menschlichen Mitarbeiter dazu angeleitet, Zugangsdaten oder Einmal-Passwörter preiszugeben.

Durch KI generiertes Phishing und Deepfake-Phishing

Dies ist das deutlichste Unterscheidungsmerkmal in der aktuellen Bedrohungslandschaft. Die Analyse von CybelAngel für das Jahr 2026 ergab, dass 82,6 % der zwischen September 2024 und Februar 2025 erkannten Phishing-E-Mails mithilfe von KI generiert wurden – ein Anstieg von 53,5 % im Vergleich zum Vorjahr. Unabhängig davon verzeichnete Darktrace anhand seiner eigenen Telemetriedaten aus dem Finanzsektor in der ersten Hälfte des Jahres 2025 insgesamt 2,4 Millionen Phishing-E-Mails, von denen fast 30 % gezielt auf VIP-Nutzer wie Führungskräfte und Finanzmitarbeiter mit Zahlungsbefugnis abzielten und nicht auf die allgemeine Belegschaft.

Dieses Muster ist von Bedeutung: Angreifer legen zunehmend mehr Wert auf die Qualität ihrer Ziele als auf schiere Quantität. Das Klonen von Stimmen fügt eine weitere Ebene hinzu: Im Jahr 2025 wurden 20 Vorfälle dokumentiert, bei denen Bankmitarbeiter Anrufe erhielten, in denen die Stimme einer Führungskraft überzeugend imitiert wurde, um eine Überweisung zu autorisieren.

Kontoübernahme durch gestohlene Zugangsdaten

Die Kontoübernahme unterscheidet sich vom oben beschriebenen BEC-Muster. Anstelle eines einzigen großen, dramatischen Verlusts zeigt sie sich in Form vieler kleinerer, automatisierter Versuche. Die ATO-Studie von Proof, die im Rahmen der Betrugsanalyse vom Mai 2026 veröffentlicht wurde, ergab, dass die durchschnittliche Höhe betrügerischer Auszahlungsanträge von 182.000 US-Dollar im Jahr 2022 auf 118.000 US-Dollar im Jahr 2024 gesunken ist, wobei für 2026 ein Wert von 88.500 US-Dollar prognostiziert wird. Betrüger scheinen gezielt Beträge knapp unterhalb der Schwellenwerte anzustreben, die bei vielen Instituten eine manuelle Überprüfung auslösen, und tauschen dabei Umfang gegen Häufigkeit und Automatisierung ein.

Was Phishing im Finanzsektor tatsächlich kostet

CybelAngel beziffert die durchschnittlichen Kosten eines Datenlecks im Finanzsektor auf 5,9 Millionen US-Dollar pro Vorfall – wobei in dieser Zahl weder Bußgelder der Aufsichtsbehörden noch Reputationsschäden berücksichtigt sind. In Verbindung mit den oben genannten jährlichen BEC-Verlusten in Höhe von 2,77 Milliarden US-Dollar ergibt sich ein Bild, das sowohl von großen, konzentrierten Verlusten als auch von einem stetigen Tropfen kleinerer Verluste geprägt ist.

Crelan Bank, Januar 2016

Der am besten dokumentierte Fall, in dem ein Finanzinstitut durch BEC Geld verloren hat, ist zugleich einer der größten. Betrüger gaben sich als leitender Angestellter der belgischen Bank aus oder hatten dessen E-Mail-Konto gehackt und überzeugten die Finanzabteilung, Gelder zu überweisen. Eine interne Prüfung ergab später, dass rund 70 Millionen Euro, etwa 75,8 Millionen US-Dollar, verschwunden waren. Mehrere Medien, darunter Help Net Security, bestätigten damals sowohl den Betrag als auch die Vorgehensweise.

Es handelt sich um einen Fall, der bereits ein Jahrzehnt zurückliegt, doch das darin verdeutlichte Muster – eine dringlich formulierte, aber unauffällig gehaltene E-Mail, die an eine Person mit Zahlungsbefugnis weitergeleitet wird – bildet auch heute noch das Rückgrat von BEC.

Identitätsbetrugsring in Massachusetts, Connecticut und Rhode Island

Ein jüngerer Fall von weitaus geringerem Ausmaß zeigt ein anderes Muster, das bei regionalen Instituten nach wie vor anzutreffen ist. Die Bundesstaatsanwaltschaft erhob Anklage gegen mehrere Angeklagte und erwirkte später Schuldbekenntnisse von ihnen, die gestohlene Kundennamen, Sozialversicherungsnummern und Kontodaten zur Erstellung gefälschter Ausweisdokumente verwendet hatten, um anschließend Komplizen dazu zu bringen, sich in Bankfilialen als echte Kunden auszugeben und Geld abzuheben.

Zwei der Angeklagten bekannten sich im Mai 2026 schuldig im Zusammenhang mit einem Betrugsmanöver, bei dem gestohlene Identitäten genutzt wurden, um mehr als 1 Million Dollar von Bankkonten in den drei Bundesstaaten abzuheben. Es handelt sich hierbei zwar nicht um einen Phishing-Fall im klassischen Sinne, aber es ist ein anschauliches Beispiel dafür, was passiert, sobald Kundendaten in die falschen Hände geraten: Sie werden für Kontenbetrug missbraucht, oft über einen völlig anderen Kanal als den, über den sie ursprünglich offengelegt wurden.

Marquis Software Solutions, 2025

Im August 2025 wurden bei einem Ransomware-Angriff auf Marquis Software Solutions, einen Anbieter von Datenanalyse-, CRM- und Compliance-Tools für Hunderte von Banken und Kreditgenossenschaften, personenbezogene und finanzielle Daten offengelegt, die mit mindestens 74 Instituten in Verbindung standen. In den ab Dezember 2025 bei den Generalstaatsanwälten eingereichten Meldungen über Datenschutzverletzungen wurde die Zahl der betroffenen Personen auf mehr als 400.000 beziffert, wobei in einigen Meldungen Zahlen von fast 780.000 genannt wurden. Berichten von BleepingComputer zufolge verschafften sich die Angreifer den ersten Zugriff über eine Schwachstelle in der Firewall des Anbieters und nicht durch Phishing.

Der Grund, warum dies in diesem Artikel erwähnt wird, liegt nicht darin, dass es sich dabei um einen Phishing-Angriff handelte. Vielmehr tauchen gestohlene Sozialversicherungsnummern und Kontodaten aus solchen Datenlecks regelmäßig Monate später wieder auf und dienen als Ausgangsmaterial für gezielte Phishing-Angriffe und Versuche, die Konten derselben Kunden zu übernehmen.

Warum dies in einer der Branchen mit den höchsten Sicherheitsstandards immer wieder vorkommt

Die Finanzdienstleistungsbranche weist unter allen untersuchten Branchen eine der höchsten DMARC-Einführungsraten auf. Dennoch hinkt die Durchsetzung bei der Einstellung „p=reject“ – also der Einstellung, die gefälschte E-Mails tatsächlich blockiert, anstatt sie nur zu überwachen – bei einem Großteil der Institute hinterher, darunter auch einige der größten Namen der Branche. Auf diese Diskrepanz zwischen Einführung und Durchsetzung gehen wir in unserem Blogbeitrag über Finanzinstitute und DMARC ausführlich ein .

Diese Lücke lässt sich durch einige strukturelle Gründe erklären:

• Operative Komplexität: Große Banken können Hunderte legitimer Absender von Drittanbietern haben, von Anbietern von Kontoauszügen über Marketingplattformen bis hin zu Kreditdienstleistern. Die korrekte Authentifizierung jedes einzelnen dieser Absender, bevor Durchsetzungsmaßnahmen ergriffen werden, ist ein erheblicher Aufwand.
• Risikoaversion: Sicherheitsteams sind oft mehr darauf bedacht, nicht versehentlich legitime E-Mails wie Gehaltsabrechnungen oder Kreditunterlagen zu blockieren, als die Sicherheitslücke im Zusammenhang mit Spoofing zu schließen – selbst wenn Angreifer diese aktiv ausnutzen.
• KI-gestütztes Phishing: Von KI generierte Phishing-Angriffe entwickeln sich schneller weiter, als viele ältere E-Mail-Filter damit Schritt halten können. Unternehmen, die sich früher auf die Erkennung von Tippfehlern und Reputationsbewertungen verlassen haben, benötigen nun stattdessen strengere authentifizierungs- und verhaltensbasierte Kontrollmechanismen.

Einführung und Durchsetzung von DMARC im Finanzdienstleistungssektor: Ein Ländervergleich

Finanzaufsichtsbehörden weltweit haben die Banken dazu gedrängt, DMARC einzurichten. Weitaus weniger haben sie dazu gedrängt, es auch tatsächlich zu aktivieren. Diese Kluft zwischen der Einführung (Vorhandensein eines DMARC-Eintrags) und der Durchsetzung (Einstellung dieses Eintrags auf „p=reject“, wodurch gefälschte E-Mails direkt blockiert und nicht nur protokolliert werden) ist der deutlichste Beweis dafür, dass die Anfälligkeit der Branche für Phishing ebenso sehr eine politische wie eine technische Entscheidung ist.
Die Berichte von PowerDMARC zur Einführung von E-Mail-Sicherheit auf Länderebene schlüsseln diese Daten nach Branchen auf. Hier ist ein Vergleich des Finanzsektors in sieben Märkten gemäß der zuletzt veröffentlichten Analyse:

Wie sich Finanzinstitute im Jahr 2026 gegen Phishing schützen können

1. DMARC durchsetzen

Stellen Sie DMARC für jede sendende Domain – einschließlich geparkter und defensiver Domains – auf „p=reject“ ein, zusätzlich zu SPF und DKIM. Dies ist mittlerweile ebenso eine Mindestanforderung für die Einhaltung der Vorschriften wie eine Sicherheitsmaßnahme. Die seit dem 31. März 2025 verbindliche Anforderung 5.4.1 des PCI DSS v4.0.1 schreibt Prozesse und automatisierte Mechanismen zur Erkennung von Phishing und zum Schutz des Personals davor vor, und die Leitlinien des PCI Security Standards Council nennen DMARC, SPF und DKIM als Beispiele für Kontrollmaßnahmen. Unser Leitfaden zur E-Mail-Compliance gemäß PCI DSS behandelt diese Anforderung ausführlicher, und unser Leitfaden zur FTC Safeguards Rule behandelt die entsprechenden Erwartungen für Finanzunternehmen außerhalb des Bankensektors.

2. Eine Zahlungsüberprüfung außerhalb des Systems vorschreiben

Verlangen Sie bei jeder Überweisung oder Änderung von Zahlungsdaten eine Out-of-Band-Verifizierung durch mehrere Personen, ganz gleich, wie überzeugend die Anfrage auch klingen mag. Diese eine Kontrollmaßnahme hätte sowohl den Verlust bei der Crelan Bank als auch das Muster der Lieferanten-Identitätsfälschung verhindert, das laut den Umfragedaten der AFP mittlerweile den klassischen CEO-Betrug überholt hat.

3. Einführung einer Phishing-resistenten Authentifizierung

Insbesondere FIDO2 oder Hardware-Sicherheitsschlüssel bei jedem Konto mit Zahlungsberechtigung. Das Ausspähen von Anmeldedaten und AiTM-Angriffe können SMS-Codes und sogar manche app-basierte MFA-Verfahren umgehen. Sie können jedoch keine Authentifizierung umgehen, die kryptografisch an die legitime Domain gebunden ist. Unsere Analyse der MFA-Müdigkeit und des „Push-Bombing“ erläutert, warum schwächere MFA-Methoden zunehmend umgangen statt geknackt werden.

4. Entwicklung einer KI-basierten Phishing-Erkennung

Entwickeln Sie spezifische Erkennungsmechanismen für KI-generiertes Phishing, anstatt sich auf veraltete, signaturbasierte Filter zu verlassen. Laut den Umfragedaten der AFP aus dem Jahr 2026 hatten im Jahr 2025 nur 17 % der von Zahlungsbetrug betroffenen Unternehmen KI-fähige Abwehrmaßnahmen eingesetzt. Das ist eine große Lücke zwischen der Bedrohung und der Reaktion darauf.

5. Schwerpunkt auf der Mitarbeiterschulung

Schulen Sie Ihre Mitarbeiter in Bezug auf die konkreten Muster, die hinter tatsächlichen Verlusten stehen, und nicht nur in allgemeiner Phishing-Aufklärung. CEO-Betrug, das Vortäuschen einer Lieferantenidentität und Callback-Phishing-Skripte sind die Muster, die in den oben genannten Daten tatsächlich auftauchen. Schulungen, die auf diese konkreten Szenarien zugeschnitten sind, sind weitaus wirksamer als ein einmal im Jahr stattfindendes Modul zum Thema „Phishing-E-Mails erkennen“.

6. Risiken durch Dritte und Lieferanten überwachen

Der Fall „Marquis Software“ zeigt, wie ein einziger Sicherheitsvorfall bei einem Anbieter Angreifern die Rohdaten liefern kann, die sie für monatelange Phishing-Angriffe und Versuche der Kontoübernahme gegen Kunden benötigen, die nie direkt mit dem Anbieter in Kontakt standen.

Wie PowerDMARC Finanzinstituten hilft, diese Lücke zu schließen

All dies führt zu derselben Schlussfolgerung: Die Finanzdienstleistungsbranche hat kein Problem mit der Transparenz. Die meisten Institute können bereits erkennen, wer ihre Domain missbraucht. Was ihnen fehlt, ist ein schneller, risikoarmer Weg von dieser Transparenz zur tatsächlichen Durchsetzung sowie der dazugehörige Schutz auf der Transportschicht.

PowerDMARC wurde speziell entwickelt, um diese Lücke für Banken, Kreditgenossenschaften, Versicherungen und Fintech-Unternehmen zu schließen:

• Geführte Migration zu „p=reject“: Der Übergang von der Überwachung zur Durchsetzung ist der Schritt, bei dem die meisten Unternehmen zögern, aus Angst, legitime E-Mails zu blockieren. PowerDMARC automatisiert die Durchsetzung in einer sicheren, geführten Umgebung und bietet Ihnen kontinuierliche Transparenz über alle Ihre E-Mail-Kanäle hinweg.
• Optimierung von SPF-Einträgen: Große Finanzinstitute überschreiten regelmäßig das Limit von 10 DNS-Lookups, sobald alle Drittanbieter berücksichtigt werden – genau diese Art von „stillen Fehlern“ führt dazu, dass legitime E-Mails nicht mehr zugestellt werden. PowerSPF komprimiert diese Einträge automatisch, sodass die Authentifizierung auch bei wachsender Anbieterliste nicht zusammenbricht.
• Hosted MTA-STS und TLS-RPT: Wie die oben aufgeführten Länderdaten zeigen, hat fast kein Finanzinstitut weltweit die Lücke bei der Verschlüsselung auf Transport-Ebene geschlossen. Das Hosted MTA-STS von PowerDMARC leitet eingehende E-Mails zwangsläufig über verschlüsselte Kanäle weiter, ohne dass eine manuelle Verwaltung von Richtlinien-Dateien erforderlich ist – ein Aufwand, der die meisten Teams davon abhält, dieses Ziel überhaupt anzugehen.
• Regulatorische Angleichung: Die Anforderung 5.4.1 des PCI DSS v4.0.1, die Vorgaben der FTC Safeguards Rule sowie gleichwertige Rahmenwerke in anderen Märkten weisen alle auf dieselben Maßnahmen zur E-Mail-Authentifizierung und zum Schutz vor Phishing hin. Die Full-Stack-Suite zur E-Mail-Authentifizierung von PowerDMARC wurde speziell entwickelt, um die Einhaltung dieser Vorschriften direkt zu unterstützen.
• Threat Intelligence zur Erkennung von Risiken im Finanzsektor: Sicherheitsvorfälle bei Anbietern wie der Vorfall bei Marquis Software zeigen, wie offengelegte Daten Monate später in gezielten Phishing-Angriffen wieder auftauchen. Unsere DMARC-Threat-Intelligence erkennt Spoofing-Versuche im Zusammenhang mit Ihrer Marke, bevor diese den Posteingang eines Kunden erreichen.

Finden Sie heraus, wo Ihre Organisation derzeit steht. Geben Sie Ihre Domain in den kostenlosen Domain Analyzer ein, um sofort einen Überblick über Ihren aktuellen SPF-, DMARC- und MTA-STS-Status zu erhalten!

Die Quintessenz

Die Finanzdienstleistungsbranche ist nicht deshalb ein Ziel von Phishing, weil sie nachlässig ist. Sie ist ein Ziel, weil dort das Geld zu finden ist und weil derzeit bestimmte Angriffsarten gegen sie eingesetzt werden, wie beispielsweise KI-generierte Köder, Callback-Phishing und die Vortäuschung der Identität von Lieferanten. Diese entwickeln sich schneller weiter als die Abwehrmaßnahmen der meisten Institutionen. Die hohe DMARC-Einführungsrate in der Branche bei gleichzeitig geringer Durchsetzungsquote ist ein gutes Beispiel für die Kluft zwischen der Einführung einer Kontrollmaßnahme und deren tatsächlicher Nutzung, um Angriffe zu blockieren.

Häufig gestellte Fragen

Warum ist der Finanzsektor das am häufigsten von Phishing betroffene Ziel?

Laut dem DBIR 2025 von Verizon ist finanzieller Gewinn das Motiv bei rund 90 % der Sicherheitsvorfälle in dieser Branche, da gestohlene Zugangsdaten und erfolgreiche Überweisungsbetrugsversuche direkt zu Geld führen. Finanzinstitute stehen zudem im Zentrum legitimer Zahlungsströme, was Angreifern für nahezu jede Anfrage eine plausible Tarnung bietet.

Was ist der Unterschied zwischen Phishing und „Business Email Compromise“?

Phishing ist ein weit gefasster Begriff, der jeden Versuch umfasst, jemanden dazu zu verleiten, Zugangsdaten preiszugeben oder auf einen bösartigen Link zu klicken. „Business Email Compromise“ (BEC) ist eine spezifische, in der Regel gezieltere Form des Phishing, bei der sich der Angreifer als vertrauenswürdige Person ausgibt – häufig als Führungskraft oder Lieferant –, um eine echte Zahlung oder die Übermittlung sensibler Daten umzuleiten.

Wie hoch sind die Kosten, die Finanzinstituten durch Phishing und BEC entstehen?

Der Internet-Kriminalitätsbericht 2024 des FBI verzeichnete allein in den USA bei 21.442 Beschwerden Verluste in Höhe von 2,77 Milliarden US-Dollar durch BEC. CybelAngel beziffert die durchschnittlichen Kosten einer Datenpanne im Finanzsektor separat auf 5,9 Millionen US-Dollar pro Vorfall, wobei behördliche Strafen nicht berücksichtigt sind.

Was ist Vishing bzw. Callback-Phishing, und warum zielt es speziell auf Banken ab?

Beim Callback-Phishing wird eine betrügerische E-Mail oder Nachricht verwendet, um das Opfer dazu zu bringen, eine Telefonnummer anzurufen, wo ein menschlicher Mitarbeiter es dann dazu überredet, Zugangsdaten oder Einmalcodes preiszugeben. In den aktuellen Daten zum Callback-Phishing werden Finanzdienstleister häufiger als jede andere Kategorie imitiert, da eine gefälschte Betrugswarnung einer Bank eine Dringlichkeit erzeugt, die sich leicht ausnutzen lässt.

Kann DMARC Phishing-Angriffe auf ein Finanzinstitut verhindern?

DMARC verhindert, dass Angreifer Ihre eigene Domain in E-Mails an Kunden und Partner fälschen, wodurch ein wichtiger Phishing-Angriffsweg unterbunden wird. Es wehrt zwar nicht jeden Phishing-Angriff ab – insbesondere nicht solche, bei denen ähnliche Domains verwendet werden oder die direkt auf die Posteingänge Ihrer Kunden abzielen –, daher eignet es sich am besten als eine von mehreren Schutzebenen in einem umfassenden Sicherheitskonzept.

Was ist die wirksamste Einzelmaßnahme zum Schutz vor BEC im Finanzdienstleistungssektor?

Die bandexterne Verifizierung durch mehrere Personen bei jeder Zahlungsanforderung oder jeder Änderung von Zahlungsdetails ist die Kontrollmaßnahme, die am unmittelbarsten dazu beiträgt, tatsächliche BEC-Verluste zu verhindern, da sie den einzigen Schwachpunkt beseitigt, auf den sich E-Mail-basiertes Social Engineering stützt.

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• Phishing im Finanzdienstleistungssektor: Angriffstrends, Kosten und Abwehrmaßnahmen im Jahr 2026 – 7. August 2026
• Die besten E-Mail-Reputationsdienste im Jahr 2026 – 6. August 2026
• Fax-Sicherheit: Ein umfassender Leitfaden zum Schutz sensibler Dokumente im Jahr 2026 – 30. Juli 2026